JP2019505919A - 潜在的ランサムウェアを検出することに応答してファイルバックアップを変更するためのシステム及び方法 - Google Patents

Abstract

潜在的なランサムウェアを検出することに応答してファイルバックアップを変更するためのコンピュータ実装方法は、（１）ファイルバックアッププロセス中に、コンピューティングデバイス上のランサムウェアの潜在的な徴候である異常を検出することと、（２）ランサムウェアの潜在的な徴候である異常を検出することに応答して、他のバックアップコピーとは別の場所にバックアップコピーを格納することと、（３）異常がコンピューティングデバイス上のランサムウェアの徴候であることを確認することと、（４）異常がコンピューティングデバイス上のランサムウェアの徴候であることを確認することに応答してバックアップポリシーを調節することと、（５）調節されたバックアップポリシーに基づいてバックアップコピーを管理することと、を含み得る。様々な他の方法、システム、及びコンピュータ可読媒体も開示される。

Description

ランサムウェアは、ユーザーがマルウェアを除去するために支払いをしない限り、デバイスへのアクセスを阻止するか、ないしは別の方法でデバイスの正常な機能を妨げることによって、コンピューティングデバイスを人質に取り得る、特定の形態のマルウェアである。例えば、クリプトウイルスの脅迫（cryptoviral extrotion）は、ユーザーのファイルを暗号化し（例えば、セッションキーを使用する）、ユーザーのファイルを復号化し、それらのファイルへのユーザーのアクセスを復元する前に支払いを要求することによって、これを成し遂げ得る。

セキュリティソフトウェアは従来、マルウェアがデバイスに感染した後にマルウェアを除去することを試みる、及び／又は感染中に生じる損傷を最小限に抑えることを試みる。しかしながら、クリプトウイルスの脅迫の暗号化プロセスに使用されるサイズのキーが大きいため、攻撃後に攻撃で使用された暗号化キーを所有せずにこの形態のランサムウェアを克服することは不可能に近い場合がある。このため、一部のセキュリティソリューションは、ファイルのバックアップコピーを作製し（例えば、デバイス上の既存のファイルをミラーリングする）、攻撃に備えてそれらのコピーを別の場所に格納し得る。しかしながら、ランサムウェアが適時に検出されないと、これらのバックアップコピーは、単に暗号化ファイルをミラーリングするだけで、ユーザーはリカバリオプションなしで取り残される場合がある。したがって、本開示は、クリプトウイルスの脅迫並びに他の形態のランサムウェア攻撃によるファイル及びデータの完全な損失を防止するため、ランサムウェアを検出し、ファイルを管理するための改善された付加的なシステムの必要性を識別し、これに取り組む。

以下により詳細に説明されるように、本開示は、一般に、危険性のあるバックアップコピーを分離し、特別な事例を処理するようにファイルバックアップポリシーを変更することにより、潜在的なランサムウェアを検出することに応答してファイルバックアップを変更するためのシステム及び方法に関する。例えば、開示されるシステムは、まず、ファイルバックアップ中に検出された異常なファイル及びプロセスに基づいて、潜在的なランサムウェア攻撃を検出し得る。開示されるシステムは、次いで、潜在的に暗号化されたバックアップコピーを隔離し、そのコピーが既存のファイルバックアップを上書きすること阻止するように、ファイルバックアップポリシーを調節し得る。疑わしいランサムウェア攻撃の無効性が確認された場合、これらのシステムは通常のバックアップ動作に戻り得る。

一実施例では、上述のタスクを達成するためのコンピュータ実施方法は、（１）ファイルバックアッププロセス中に、コンピューティングデバイス上のランサムウェアの潜在的な徴候である異常を検出することと、（２）ランサムウェアの潜在的な徴候である異常を検出することに応答して、他のバックアップコピーとは別の場所にバックアップコピーを格納することと、（３）異常がコンピューティングデバイス上のランサムウェアの徴候であることを確認することと、（４）異常がコンピューティングデバイス上のランサムウェアの徴候であることを確認することに応答してバックアップポリシーを調節することと、（５）調節されたバックアップポリシーに基づいてバックアップコピーを管理することと、を含み得る。

いくつかの実施例では、コンピューティングデバイス上のランサムウェアの潜在的な徴候である異常を検出することは、ファイルバックアッププロセスにおける少なくとも１つのファイルの内容が異常であることを判別することを含み得る。これらの実施例では、ファイルの内容が異常であることを判別することは、ファイルの内容がファイルのタイプに一致しないことを判別すること、ファイルのヘッダーがファイルのタイプに一致しないことを判別すること、及び／又はファイルのエントロピーが予期したよりも高いことを判別することを含み得る。追加的に又は代替的に、他の実施例では、コンピューティングデバイス上のランサムウェアの潜在的な徴候である異常を検出することは、コンピューティングデバイス上の異常なファイル変更プロセスを検出することを含み得る。これらの例では、異常なファイル変更プロセスを検出することは、ファイル変更プロセスによるリソースの使用量が、既定の閾値を超えていることを判別すること、及び／又はファイル変更プロセスによってアクセスされるファイルの数が異常であることを判別することを含み得る。

一実施例では、バックアップコピーを別の場所に格納することは、バックアップコピーが他のバックアップコピー内の既存のバックアップコピーを置換することを阻止することを含み得る。一実施例では、異常がコンピューティングデバイス上のランサムウェアの徴候であることを確認することは、コンピューティングデバイス上のランサムウェアを識別すること、コンピューティングデバイスにインストールされたアンチウイルスソフトウェアからランサムウェアの確認を受信すること、コンピューティングデバイスのユーザーからランサムウェアの確認を受信すること、及び／又はコンピューティングデバイスに近接する別のコンピューティングデバイス上でランサムウェア攻撃を検出することを含み得る。この実施例では、コンピューティングデバイスの近接は、コンピューティングデバイスに対する物理的な近接、及び／又はそのコンピューティングデバイスと他のコンピューティングデバイスとの論理グループを含み得る。

いくつかの実施形態では、バックアップポリシーを調節することは、ファイルバックアッププロセスにおいて少なくとも１つのファイルを検疫することを含み得る。追加的に又は代替的に、バックアップポリシーを調節することは、ファイルバックアッププロセスを終了することを含み得る。更に、バックアップポリシーを調節することは、ファイルバックアッププロセスの頻度を調節すること、保持するバックアップコピーの数を調節すること、及び／又はバックアップするファイルのリストを調節することを含み得る。

いくつかの実施例では、調節されたバックアップポリシーに基づいてバックアップコピーを管理することは、バックアップコピーを廃棄し、安全なバックアップコピーを保持することを含み得る。これらの実施例では、バックアップコピーを管理することはまた、バックアップコピーを安全なバックアップコピーに置換することを含み得る。

一実施例では、コンピュータ実施方法は、異常がコンピューティングデバイス上のランサムウェアの徴候であることに反証することを更に含み得る。この実施例は、追加的に、バックアップコピーを他のバックアップコピーとマージすることを含み得る。

一実施形態では、上述の方法を実施するためのシステムは、（１）ファイルバックアッププロセス中に、コンピューティングデバイス上のランサムウェアの潜在的な徴候である異常を検出する、メモリに格納された検出モジュールと、（２）ランサムウェアの潜在的な徴候である異常を検出することに応答して、他のバックアップコピーとは別の場所にバックアップコピーを格納する、メモリに格納された記憶モジュールと、（３）異常がコンピューティングデバイス上のランサムウェアの徴候であることを確認する、メモリに格納された確認モジュールと、（４）異常がコンピューティングデバイス上のランサムウェアの徴候であることを確認することに応答してバックアップポリシーを調節する、メモリに格納された調節モジュールと、（５）調節したバックアップポリシーに基づいてバックアップコピーを管理する、メモリに格納された管理モジュールと、を含んでもよい。更に、システムは、検出モジュール、記憶モジュール、確認モジュール、調節モジュール、及び管理モジュールを実行する少なくとも１つの物理プロセッサを含んでもよい。

いくつかの実施例では、上述の方法は、非一時的コンピュータ可読媒体上のコンピュータ可読命令としてコード化されてもよい。例えば、コンピュータ可読媒体は、コンピューティングデバイスの少なくとも１つのプロセッサによって実行されたときに、コンピューティングデバイスに、（１）ファイルバックアッププロセス中に、コンピューティングデバイス上のランサムウェアの潜在的な徴候である異常を検出することと、（２）ランサムウェアの潜在的な徴候である異常を検出することに応答して、他のバックアップコピーとは別の場所にバックアップコピーを格納することと、（３）異常がコンピューティングデバイス上のランサムウェアの徴候であることを確認することと、（４）異常がコンピューティングデバイス上のランサムウェアの徴候であることを確認することに応答してバックアップポリシーを調節することと、（５）調節されたバックアップポリシーに基づいてバックアップコピーを管理することと、を実行させ得る、１つ以上のコンピュータ実行可能命令を含み得る。

上述の実施形態のいずれかによる特徴は、本明細書に記載される一般原理に従って、互いに組み合わせて使用されてもよい。これら及び他の実施形態、特徴、及び利点は、添付の図面及び特許請求の範囲と併せて以下の発明を実施するための形態を読むことによって更に十分に理解されるだろう。

添付の図面は、いくつかの例示的な実施形態を図示するものであり、本明細書の一部である。以下の説明と併せて、これらの図面は、本開示の様々な原理を実証及び説明する。
潜在的なランサムウェアを検出することに応答してファイルバックアップを変更するための例示的なシステムのブロック図である。 潜在的なランサムウェアを検出することに応答してファイルバックアップを変更するための追加の例示的なシステムのブロック図である。 潜在的なランサムウェアを検出することに応答してファイルバックアップを変更するための例示的な方法のフロー図である。 ファイルバックアッププロセス中に検出された例示的な異常の例示的な検出のブロック図である。 バックアップコピーを管理するための例示的なバックアップポリシーの例示的な調節のブロック図である。 本明細書で説明及び／又は図示される実施形態のうちの１つ以上を実施できる例示的なコンピューティングシステムのブロック図である。 本明細書で説明及び／又は図示される実施形態のうちの１つ以上を実施できる例示的なコンピューティングネットワークのブロック図である。 図面を通して、同一の参照符号及び記述は、必ずしも同一ではないが、類似の要素を示す。本明細書で説明される例示的実施形態は、様々な修正物及び代替的な形態が可能であるが、特定の実施形態が例として図面に示されており、本明細書に詳細に記載される。しかしながら、本明細書に記載される例示的実施形態は、開示される特定の形態に限定されることを意図しない。むしろ、本開示は、添付の特許請求の範囲内にある全ての修正物、等価物、及び代替物を網羅する。

本開示は、全般的に、潜在的なランサムウェアを検出することに応答してファイルバックアップを変更するためのシステム及び方法を対象とする。より詳細に後述するように、潜在的に感染したファイルを隔離することによって、本明細書に開示されるシステム及び方法は、ランサムウェアによるデータの損失を回避するためのバックアップコピーのより良好な管理を提供し得る。例えば、ファイルバックアッププロセス中に異常を検出することにより、開示されるシステム及び方法は、それらのファイルを危険にさらし得る潜在的なランサムウェアを識別し得る。開示されるシステム及び方法は、次いで、潜在的な脅威に適応して、感染したバックアップコピーが暗号化されていないバックアップコピーを置換することを阻止するよう、バックアップポリシーを変更し得る。

以下は、図１〜図２を参照して、潜在的なランサムウェアを検出することに応答してファイルバックアップを変更するための例示的なシステムの詳細な説明を提供する。対応するコンピュータ実施方法の詳細な説明も図３に関連して提供される。加えて、ファイルバックアッププロセス中に検出された例示的な異常の例示的な検出についての詳細な説明が、図４に関連して提供される。更に、バックアップコピーを管理する例示的なバックアップポリシーの例示的な調節についての詳細な説明が、図５に関連して提供される。最後に、本明細書に記載された実施形態のうちの１つ以上を実施できる例示的なコンピューティングシステム及びネットワークアーキテクチャについての詳細な説明が、それぞれ、図６及び図７と関連して提供される。

図１は、潜在的なランサムウェアを検出することに応答してファイルバックアップを変更するための例示的なシステム１００のブロック図である。本明細書で使用されるとき、用語「ランサムウェア」は、一般に、コンピュータファイル又は構成要素へのアクセスを制限して、アクセスを復元するための身代金を要求するように設計されたマルウェア、すなわち悪意のあるソフトウェアを指す。ランサムウェアの例としては、非限定的に、クリプトウイルスの脅迫、暗号化プログラム、スケアウェアのトロイの木馬、又はマルウェアによって作成された制限を除去するためにユーザーからの支払いを要求する、他の何らかの形態のマルウェアが挙げられ得る。

図１に図示されるように、例示的なシステム１００は、１つ以上のタスクを実施するための１つ以上のモジュール１０２を含んでもよい。例えば、より詳細に後述するように、例示的システム１００は、ファイルバックアッププロセス中に、コンピューティングシステム上のランサムウェアの潜在的な徴候であり得る異常を検出し得る、検出モジュール１０４を含んでもよい。例示的なシステム１００はまた、ランサムウェアの潜在的な徴候である異常を検出することに応答して、他のバックアップコピーから別の場所にバックアップコピーを格納し得る、記憶モジュール１０６を含んでもよい。例示的なシステム１００は、異常がコンピューティングデバイス上のランサムウェアの徴候であり得ることを確認し得る、確認モジュール１０８を追加的に含んでもよい。更に、例示的なシステム１００は、異常がコンピューティングデバイス上のランサムウェアの徴候であり得ることを確認することに応答してバックアップポリシーを調節し得る、調節モジュール１１０を含んでもよい。本明細書で使用するとき、用語「バックアップポリシー」は、一般に、ファイルバックアッププロセスとファイルのバックアップコピーの記憶域とを管理するための一組の規則を指す。

最後に、例示的なシステム１００は、調節されたバックアップポリシーに基づいてバックアップコピーを管理し得る、管理モジュール１１２を含んでもよい。別々の要素として図示されるが、図１のモジュール１０２のうちの１つ以上は、単一のモジュール又はアプリケーションの部分を表してもよい。

特定の実施形態では、図１のモジュール１０２のうち１つ以上は、コンピューティングデバイスによって実行されると、コンピューティングデバイスに１つ以上のタスクを実施させ得る、１つ以上のソフトウェアアプリケーション又はプログラムを表し得る。例えば、より詳細に後述するように、モジュール１０２のうちの１つ以上は、図２に示されるデバイス（例えば、コンピューティングデバイス２０２及び／若しくはサーバ２０６）、図６のコンピューティングシステム６１０、並びに／又は図７の例示的なネットワークアーキテクチャ７００の部分など、１つ以上のコンピューティングデバイスに格納され、その上で動くように構成された、ソフトウェアモジュールを表してもよい。図１のモジュール１０２のうち１つ以上はまた、１つ以上のタスクを実施するように構成された１つ以上の専用コンピュータの全て又は一部を表し得る。

図１に示すように、例示的なシステム１００はまた、データベース１２０などの１つ以上のデータベースを含んでもよい。一実施例では、データベース１２０は、バックアップコピー１２２及び／又は他のバックアップコピー１２４を格納するように構成されてよく、他のバックアップコピー１２４は、コンピューティングデバイス２０２）上のファイルのコピーを含む既存のバックアップコピー１２６を含んでもよい。データベース１２０はまた、ファイルバックアッププロセスを管理し得る、バックアップポリシー２１４などのバックアップポリシーを格納するように構成されてもよい。

データベース１２０は、単一のデータベース若しくはコンピューティングデバイスの部分、又は複数のデータベース若しくはコンピューティングデバイスの部分を表してもよい。例えば、データベース１２０は、図２のサーバ２０６の一部分、図６のコンピューティングシステム６１０、及び／又は図７の例示的なネットワークアーキテクチャ７００の部分を表してもよい。あるいは、図１のデータベース１２０は、図２のサーバ２０６、図６のコンピューティングシステム６１０、及び／又は図７の例示的なネットワークアーキテクチャ７００の部分など、コンピューティングデバイスによってアクセスすることができる、１つ以上の物理的に別個のデバイスを表してもよい。

図１の例示的なシステム１００は、様々な方法で実装され得る。例えば、例示的なシステム１００の全て又は一部は、図２における例示的なシステム２００の部分を表してもよい。図２に示されるように、システム２００は、ネットワーク２０４を介してサーバ２０６と通信するコンピューティングデバイス２０２を含んでもよい。一実施例では、コンピューティングデバイス２０２は、モジュール１０２のうち１つ以上を用いてプログラムされてもよく、かつ／又はデータベース１２０内のデータの全て若しくは一部分を記憶することができる。加えて、又は代替的に、サーバ２０６は、モジュール１０２のうちの１つ以上を用いてプログラムされてもよく、及び／又はデータベース１２０のデータの全て若しくは一部を記憶してもよい。同様に、サーバ２０６及びコンピューティングデバイス２０２の両方は、単一のマシン又はコンピューティングデバイスにマージされてもよい。

一実施形態では、図１にあるモジュール１０２のうちの１つ以上は、コンピューティングデバイス２０２及び／又はサーバ２０６のプロセッサのうちの少なくとも１つにより実行されると、コンピューティングデバイス２０２及び／又はサーバ２０６が、ランサムウェアがファイルバックアップコピーに影響を与えることを阻止することを可能にし得る。例えば、より詳細に後述するように、検出モジュール１０４は、ファイルバックアッププロセス中に、コンピューティングデバイス２０２上のランサムウェアの潜在的な徴候である異常２０８を検出し得る。これに応答して、記憶モジュール１０６は、バックアップコピー１２２を他のバックアップコピー１２４とは別の場所に格納し得る。確認モジュール１０８は、次いで、異常２０８がコンピューティングデバイス２０２上のランサムウェアの徴候であることを確認し得る。調節モジュール１１０は、次いで、異常２０８がコンピューティングデバイス２０２上のランサムウェアの徴候であることを確認することに応答してバックアップポリシー２１４を調節し得る。最後に、管理モジュール１１２は、調節されたバックアップポリシー２１４に基づいてバックアップコピー１２２を管理し得る。

図２の例では、及びより詳細に後述されるように、コンピューティングデバイス２０２は、最初に異常２０８を検出し、ネットワーク２０４を介して、バックアップコピー１２２を他のバックアップコピー１２４とは別にサーバ２０６上に格納して、既存のバックアップコピー１２６が上書きされることを阻止してよい。コンピューティングデバイス２０２は次いで、アンチウイルスソフトウェア２１０からランサムウェアの確認２１２を受信し得る。次に、コンピューティングデバイス２０２は、ランサムウェアの確認２１２に基づいて、バックアップポリシー２１４を調節し得る。最後に、コンピューティングデバイス２０２は、新たに調節されたバックアップポリシー２１４に基づいてバックアップコピー１２２を管理するよう、サーバ２０６に命令し得る。

コンピューティングデバイス２０２は、一般に、コンピュータ実行可能命令を読み取ることができる任意のタイプ又は形態のコンピューティングデバイスを表す。コンピューティングデバイス２０２の例としては、非限定的に、ラップトップ、タブレット、デスクトップ、サーバ、携帯電話、携帯情報端末（ＰＤＡ）、マルチメディアプレーヤー、埋め込みシステム、ウェアラブルデバイス（例えば、スマートウォッチ、スマートグラスなど）、ゲーム機、それらの１つ以上の組み合わせ、図６の例示的なコンピューティングシステム６１０、あるいは他の任意の好適なコンピューティングデバイスが挙げられる。

サーバ２０６は、一般に、ファイルのバックアップコピーを格納及び／又は管理することができる任意のタイプ又は形態のコンピューティングデバイスを表す。サーバ２０６の例としては、限定することなく、様々なデータベースサービスを提供するように、かつ／又はある特定のソフトウェアアプリケーションを作動させるように構成されたアプリケーションサーバ及びデータベースサーバが挙げられる。

ネットワーク２０４は、一般に、通信若しくはデータ転送を容易にすることが可能な、任意の媒体又はアーキテクチャを表す。ネットワーク２０４の例としては、非限定的に、イントラネット、広域ネットワーク（Wide Area Network）（ＷＡＮ）、ローカルエリアネットワーク（Local Area Network）（ＬＡＮ）、パーソナルエリアネットワーク（Personal Area Network）（ＰＡＮ）、インターネット、電力線通信（ＰＬＣ）、セルラーネットワーク（例えば、Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ（ＧＳＭ（登録商標））ネットワーク）、図７の例示的なネットワークアーキテクチャ７００などが挙げられる。ネットワーク２０４は、無線接続又は有線接続を使用して、通信又はデータ転送を容易にしてもよい。一実施形態では、ネットワーク２０４は、コンピューティングデバイス２０２とサーバ２０６との間の通信を容易にしてもよい。

図３は、潜在的なランサムウェアを検出することに応答してファイルバックアップを変更するための、例示的なコンピュータ実施方法３００のフロー図である。図３に示されるステップは、任意の好適なコンピュータ実行可能コード及び／又はコンピューティングシステムによって実施されてもよい。いくつかの実施形態では、図３に示すステップは、図１のシステム１００、図２のシステム２００、図６のコンピューティングシステム６１０、及び／又は図７の例示的なネットワークアーキテクチャ７００の部分の構成要素のうち１つ以上によって実行されてもよい。

図３に例証されるように、ステップ３０２では、本明細書に記載されるシステムのうちの１つ以上は、ファイルバックアッププロセス中に、コンピューティングデバイス上のランサムウェアの潜在的な徴候である異常を検出し得る。例えば、検出モジュール１０４は、図２のコンピューティングデバイス２０２の一部として、ファイルバックアッププロセス中に、コンピューティングデバイス２０２上のランサムウェアの潜在的な徴候である異常２０８を検出し得る。

検出モジュール１０４は、様々な方法で、異常２０８を検出し得る。いくつかの実施例では、検出モジュール１０４は、ファイルバックアッププロセス内の少なくとも１つのファイルの内容が異常であることを判別することにより、異常２０８を検出し得る。これらの実施例では、ファイルの内容が異常であることを判別することは、ファイルの内容がファイルのタイプに一致しないことを判別すること、ファイルのヘッダーがファイルのタイプに一致しないことを判別すること、及び／又はファイルのエントロピーが予期したよりも高いことを判別することを含み得る。本明細書で使用するとき、用語「ファイルエントロピー」は、一般に、ファイル内のデータ値の不規則性の尺度を指す。とりわけ、暗号化されたファイルは、より不規則に見え、暗号化されていないバージョンのファイルよりも高いファイルエントロピー値を有し得る。

例えば、図４に示されているように、検出モジュール１０４は、ファイルバックアッププロセス中に、ファイル４００（１）、ファイル４００（２）、及びファイル４００（３）の情報を検出し得る。この実施例では、ファイル４００（２）は、ファイルのタイプ（例えば「画像」）と一致しないファイルヘッダー（例えば「テキストヘッダー」を有し得る。加えて、ファイル４００（２）は、高いファイルエントロピー値を有し得る。このように、検出モジュール１０４は、ファイル４００（２）の異常な内容に基づいて、異常２０８を検出し得る。

他の実施例では、検出モジュール１０４は、コンピューティングデバイス２０２上の異常なファイル変更プロセスを検出することによって、異常２０８を検出し得る。これらの例では、異常なファイル変更プロセスを検出することは、ファイル変更プロセスによるリソースの使用量が、既定の閾値を超えていることを判別すること、及び／又はファイル変更プロセスによってアクセスされるファイルの数が異常であることを判別することを含み得る。例えば、検出モジュール１０４は、ランサムウェア攻撃の影響を受けやすい特定のタイプのファイルを開くときに使用される処理電力の異常に高い消費を検出し得る。別の実施例では、短期間に変更された多数のファイルもランサムウェア攻撃を示している場合がある。異常なリソースの使用量又は異常なファイルのアクセスは、標準閾値、又は正常な使用量とランサムウェア攻撃の既知の事例とに基づいて学習された値によって判別され得る。

図３に戻り、ステップ３０４では、本明細書に記載されるシステムのうちの１つ以上は、ランサムウェアの潜在的な徴候である異常を検出することに応答して、他のバックアップコピーとは別の場所にバックアップコピーを格納し得る。例えば、記憶モジュール１０６は、図２のコンピューティングデバイス２０２の一部として、異常２０８の検出に応答し、他のバックアップコピー１２４とは別の場所にバックアップコピー１２２を格納し得る。

記憶モジュール１０６は、多様な方法でバックアップコピー１２２を格納し得る。一実施形態では、記憶モジュール１０６は、バックアップコピー１２２が他のバックアップコピー１２４内の既存のバックアップコピー１２６を置換することを阻止することによって、バックアップコピー１２２を別の場所に格納し得る。図２の実施例では、バックアップコピー１２２は、サーバ２０６上に別個に格納された、既存のバックアップコピー１２６と同じファイルの追加コピーであってもよい。別の場所としては、別のクラウド記憶域の場所、パーティション化された記憶域、又は別のサーバが挙げられ得る。また、バックアップコピー１２２は、コンピューティングデバイス２０２又は他の接続された記憶デバイス上に一時的に格納されてもよい。

図３に戻り、ステップ３０６では、本明細書に記載されたシステムのうちの１つ以上は、コンピューティング上のランサムウェアの徴候であることを確認し得る。例えば、確認モジュール１０８は、図２のコンピューティングデバイス２０２の一部として、異常２０８がコンピューティングデバイス２０２上のランサムウェアの徴候であることを確認し得る。

確認モジュール１０８は、異常２０８がランサムウェアの徴候であることを多様な方法で確認し得る。いくつかの実施例では、確認モジュール１０８は、コンピューティングデバイス２０２上のランサムウェアを識別し得る。図２の実施例では、確認モジュール１０８は、コンピューティングデバイス２０２にインストールされたアンチウイルスソフトウェア２１０からランサムウェア２１２の確認を受信し得る。この実施例では、アンチウイルスソフトウェア２１０は、コンピューティングデバイス２０２上のランサムウェアを識別し、確認モジュール１０８にランサムウェアの情報を送信し得る。他の実施例では、確認モジュール１０８は、コンピューティングデバイス２０２のユーザーからランサムウェア２１２の確認を受信し得る。

追加の実施例では、確認モジュール１０８は、コンピューティングデバイス２０２に近接する別のコンピューティングデバイス上のランサムウェア攻撃を検出し得る。これらの実施例では、コンピューティングデバイス２０２の近接は、コンピューティングデバイス２０２に対する物理的な近接及び／又はコンピューティングデバイス２０２と他のコンピューティングデバイスとの論理グループを含み得る。例えば、他のコンピューティングデバイスは、コンピューティングデバイス２０２と同じ建物内に配置されているか、又はネットワーク２０４などの同じネットワークに接続されていてもよい。別の実施例では、他のコンピューティングデバイスは、コンピューティングデバイス２０２と同じ組織の一部であってもよい。これらの実施例では、他のコンピューティングデバイス上で確認されたランサムウェア攻撃は、コンピューティングデバイス２０２におけるランサムウェアに対する脆弱性を示し得る。確認モジュール１０８は、次いで、他のコンピューティングデバイス上のランサムウェアの確認を受信して、異常２０８がコンピューティングデバイス２０２上のランサムウェアの徴候であることを判別し得る。

図３に戻り、ステップ３０８では、本明細書に記載されたシステムのうちの１つ以上は、異常がコンピューティング上のランサムウェアの徴候であることを確認することに応答してバックアップポリシーを調節し得る。例えば、調節モジュール１１０は、図２のコンピューティングデバイス２０２の一部として、異常２０８がコンピューティングデバイス２０２上のランサムウェアの徴候であることを確認することに応答してバックアップポリシー２１４を調節し得る。

調節モジュール１１０は、多様な方法でバックアップポリシー２１４を調節し得る。一実施形態では、調節モジュール１１０は、ファイルバックアッププロセスにおいて少なくとも１つのファイルを検疫し、ファイルバックアッププロセスを終了し、ファイルバックアッププロセスの頻度を調節し、保持するバックアップコピーの数を調節し、及び／又はバックアップするファイルのリストを調節し得る。この実施形態では、バックアッププロセスは、続けて、コンピューティングデバイス２０２上の疑わしいランサムウェアのために、暗号化されていないコピーをより頻繁にバックアップする、又は他のコンピューティングデバイス上のランサムウェアを確認してよい。ファイルバックアッププロセスの頻度は、また、バックアッププロセスが完了する速度及び／又は疑わしいランサムウェアが解決するまでの完全停止を含み得る。追加的に、例えば、調節モジュール１１０は、疑わしいランサムウェアがターゲットとするファイルのタイプ、又は危険な状態であり得る特定のファイルを除外するように、バックアップポリシー２１４内のファイルのリストを調節し得る。

例えば、図５に示されているように、バックアップポリシー２１４（１）は、保持するコピーの数（例えば、１）と、保持する特定のバックアップコピー（例えば、バックアップコピー１２２）とを指定し得る。調節モジュール１１０は、次いで、保持するコピーの数（例えば、２）と保持するバックアップコピー（例えば、バックアップコピー１２２、安全なコピー５００）とを変更するバックアップポリシー２１４（２）を作製するように、バックアップポリシー２１４（１）を調節し得る。更に、図４に示されているように、調節モジュール１１０は、異常２０８を含むファイル４００（２）を検疫し得る。

図３に戻り、ステップ３１０では、本明細書で記載されるシステムのうちの１つ以上は、調節されたバックアップポリシーに基づいてバックアップコピーを管理し得る。例えば、管理モジュール１１２は、図２のコンピューティングデバイス２０２の一部として、調節されたバックアップポリシー２１４に基づいてバックアップコピー１２２を管理し得る。

管理モジュール１１２は、多様な方法でバックアップコピー１２２を管理し得る。いくつかの実施例では、管理モジュール１１２は、バックアップコピー１２２を廃棄し、安全なバックアップコピーを保持し、及び／又はバックアップコピー１２２を安全なバックアップコピーで置換し得る。図５の実施例では、調節されたバックアップポリシー２１４（２）は、バックアップコピー１２２及び安全なコピー５００の両方を保持し得る。他の実施例では、調節されたバックアップポリシー２１４は、図２のランサムウェア２１２の確認に基づいて、バックアップコピー１２２を廃棄し得る。安全なコピー５００は、既存のバックアップコピー１２６など、ランサムウェアの影響を受けていない以前のバックアップコピーを含んでもよい。コンピューティングデバイス２０２は、図４のファイル４００（２）など、暗号化されたファイルを回復するために安全なコピー５００を追加的に使用してもよい。

いくつかの実施形態では、本明細書に記載されたシステムのうちの１つ以上は、異常２０８がコンピューティングデバイス２０２上のランサムウェアの徴候であることに反証し、バックアップコピー１２２と他のバックアップコピー１２４とをマージし得る。これらの実施形態では、ファイルバックアッププロセスは、引き続き通常どおり、バックアップコピー１２２を他のバックアップコピー１２４と一緒に格納し得る。バックアップコピー１２２は次いで、既存のバックアップコピー１２６又は同じファイルの代替バックアップコピーを安全に置換し得る。追加的に、バックアップポリシー２１４は、その元のバージョンに戻り、引き続きファイルバックアッププロセスを管理してもよい。更に、異常を検出するときに使用される規定の閾値は、ランサムウェアの確認又はランサムウェアの反証に基づいて調節されてもよい。

図３の方法３００に関連して上で説明したように、開示されるシステム及び方法は、ファイルバックアッププロセス中に潜在的なランサムウェア攻撃を示し得る異常を検出することによって、ランサムウェアの影響を受ける暗号化されたバックアップコピーが暗号化されていないバックアップコピーを置換することを阻止し得る。具体的には、開示されるシステム及び方法は、まず、バックアッププロセスでファイルを分析して、異常な内容を検出し得る。例えば、ファイルエントロピー値の高いファイルは、ランサムウェアによる潜在的な暗号化を示している場合がある。開示されるシステム及び方法は、次いで、潜在的に暗号化されたファイルが、攻撃の確認の保留中にバックアップされることを防止し得る。開示されるシステム及び方法は、次いで、以前のバックアップコピーとは別にバックアップコピーを格納し、追加の記憶域を考慮するようにバックアップポリシーを変更し得る。ランサムウェアの確認時に、本明細書に記載されたシステム及び方法は、影響を受けたバックアップコピーを廃棄し、以前の安全なバックアップコピーを戻し得る。このように、開示されるシステム及び方法は、ユーザーが、暗号化されていないバックアップコピーを使用して、暗号化されたファイルを回復させることを可能にし得る。

上に詳述したように、ファイルバックアップ中にファイルを評価することによって、開示されるシステム及び方法は、ランサムウェア攻撃を示す異常を検出し得る。加えて、ランサムウェアの疑いに基づいてバックアップポリシーを調節することにより、開示されるシステム及び方法は、暗号化されたファイルのバックアップコピーが回復時に使用され得る以前の暗号化されていないバージョンのファイルを上書きすることを防止でき得る。このように、本明細書に記載されたシステム及び方法は、ランサムウェア攻撃から回復させるためのバックアップコピーのより良い管理を提供し得る。

図６は、本明細書に記載及び／又は図示される実施形態のうち１つ以上を実装できる例示的なコンピューティングシステム６１０のブロック図である。例えば、コンピューティングシステム６１０の全て又は一部は、単独で又は他の要素と組み合わせのいずれかで、（図３に示されるステップのうち１つ以上などの）本明細書に記載されるステップのうち１つ以上を実施してもよく、及び／又はそれを実施するための手段であってもよい。コンピューティングシステム６１０の全て又は一部は、また、本明細書に記載及び／又は図示される他の任意のステップ、方法、若しくは処理を実施し、及び／又はそれを実施するための手段となり得る。

コンピューティングシステム６１０は、コンピュータ可読命令を実行することが可能な任意のシングル若しくはマルチプロセッサのコンピューティングデバイス又はシステムを幅広く表す。コンピューティングシステム６１０の例としては、非限定的に、ワークステーション、ラップトップ、クライアント側端末、サーバ、分散型コンピューティングシステム、ハンドヘルドデバイス、又は他の任意のコンピューティングシステム若しくはデバイスが挙げられる。その最も基本的な構成において、コンピューティングシステム６１０は、少なくとも１つのプロセッサ６１４及びシステムメモリ６１６を含んでもよい。

プロセッサ６１４は、データの処理又は命令の解釈及び実行が可能な任意のタイプ若しくは形式の物理的処理ユニット（例えば、ハードウェア実装型中央処理ユニット）を、一般に表す。特定の実施形態では、プロセッサ６１４は、ソフトウェアアプリケーション又はモジュールから命令を受信してもよい。これらの命令は、プロセッサ６１４に、本明細書において記載及び／又は図示される例示的な実施形態のうちの１つ以上の機能を実施させてもよい。

システムメモリ６１６は、一般に、データ及び／又は他のコンピュータ可読命令を格納することができる任意のタイプ若しくは形態の揮発性又は不揮発性記憶デバイスを表す。システムメモリ６１６の例としては、非限定的に、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、フラッシュメモリ、又は他の任意の好適なメモリデバイスが挙げられる。必須ではないが、特定の実施形態では、コンピューティングシステム６１０は、揮発性メモリユニット（例えば、システムメモリ６１６など）、及び不揮発性記憶デバイス（例えば、詳細に後述するような、一次記憶デバイス６３２など）の両方を含み得る。一実施例では、図１のモジュール１０２のうち１つ以上がシステムメモリ６１６にロードされ得る。

特定の実施形態では、例示的なコンピューティングシステム６１０は、また、プロセッサ６１４及びシステムメモリ６１６に加えて、１つ以上の構成要素又は要素を含んでもよい。例えば、図６に示されるように、コンピューティングシステム６１０は、メモリコントローラ６１８、入力／出力（Ｉ／Ｏ）コントローラ６２０、及び通信インターフェース６２２を含んでもよいが、それらはそれぞれ通信基盤６１２を介して相互接続されてもよい。通信基盤６１２は、一般に、コンピューティングデバイスの１つ以上の構成要素間の通信を容易にすることができる、任意のタイプ又は形態の基盤を表す。通信基盤６１２の例としては、非限定的に、通信バス（産業標準アーキテクチャ（ＩＳＡ）、周辺装置相互接続（ＰＣＩ）、ＰＣＩエクスプレス（ＰＣＩｅ）、又は類似のバスなど）、及びネットワークが挙げられる。

メモリコントローラ６１８は、一般に、メモリ若しくはデータを扱うこと、又はコンピューティングシステム６１０の１つ以上の構成要素間の通信を制御することが可能な、任意のタイプ又は形態のデバイスを表す。例えば、特定の実施形態では、メモリコントローラ６１８は、通信基盤６１２を介して、プロセッサ６１４、システムメモリ６１６、及びＩ／Ｏコントローラ６２０の間の通信を制御してもよい。

Ｉ／Ｏコントローラ６２０は、一般に、コンピューティングデバイスの入出力機能を調整及び／又は制御することが可能な、任意のタイプ又は形態のモジュールを表す。例えば、特定の実施形態では、Ｉ／Ｏコントローラ６２０は、プロセッサ６１４、システムメモリ６１６、通信インターフェース６２２、ディスプレイアダプタ６２６、入力インターフェース６３０、及び記憶インターフェース６３４など、コンピューティングシステム６１０の１つ以上の要素間におけるデータの転送を制御し、又はそれを容易にし得る。

通信インターフェース６２２は、例示的なコンピューティングシステム６１０と１つ以上の追加のデバイスとの間の通信を容易にすることができる、任意のタイプ又は形態の通信デバイス又はアダプタを幅広く表す。例えば、特定の実施形態では、通信インターフェース６２２は、コンピューティングシステム６１０と、追加のコンピューティングシステムを含む私設又は公衆ネットワークとの間の通信を容易にし得る。通信インターフェース６２２の例としては、非限定的に、有線ネットワークインターフェース（ネットワークインターフェースカードなど）、無線ネットワークインターフェース（無線ネットワークインターフェースカードなど）、モデム、及び他の任意の好適なインターフェースが挙げられる。少なくとも１つの実施形態では、通信インターフェース６２２は、インターネットなどのネットワークへの直接リンクを介して、リモートサーバへの直接接続を提供し得る。通信インターフェース６２２はまた、例えば、ローカルエリアネットワーク（イーサネット（登録商標）ネットワークなど）、パーソナルエリアネットワーク、電話若しくはケーブルネットワーク、セルラー電話接続、衛星データ接続、又は他の任意の好適な接続を通して、リモートサーバへの接続を間接的に提供し得る。

特定の実施形態では、通信インターフェース６２２はまた、外部バス又は通信チャネルを介して、コンピューティングシステム６１０と１つ以上の追加のネットワーク又は記憶デバイスとの間の通信を容易にするように構成された、ホストアダプタを表し得る。ホストアダプタの例としては、非限定的に、小型コンピュータシステムインターフェース（ＳＣＳＩ）ホストアダプタ、ユニバーサルシリアルバス（ＵＳＢ）ホストアダプタ、米国電気電子学会（ＩＥＥＥ）１３９４ホストアダプタ、アドバンストテクノロジーアタッチメント（ＡＴＡ）、パラレルＡＴＡ（ＰＡＴＡ）、シリアルＡＴＡ（ＳＡＴＡ）、及び外部ＳＡＴＡ（ｅＳＡＴＡ）ホストアダプタ、ファイバーチャネルインターフェースアダプタ、イーサネット（登録商標）アダプタなどが挙げられる。通信インターフェース６２２はまた、コンピューティングシステム６１０が分散型又はリモートコンピューティングに関与することを可能にし得る。例えば、通信インターフェース６２２は、実行のためにリモートデバイスから命令を受信、又はリモートデバイスに命令を送信し得る。

図６に示すように、コンピューティングシステム６１０はまた、ディスプレイアダプタ６２６を介して通信基盤６１２に連結される少なくとも１つのディスプレイデバイス６２４を含み得る。ディスプレイデバイス６２４は、ディスプレイアダプタ６２６によって転送される情報を視覚的に表示することができる、任意のタイプ若しくは形態のデバイスを、一般に表す。同様に、ディスプレイアダプタ６２６は、ディスプレイデバイス６２４に表示するために、通信基盤６１２から（又は当該技術分野において既知であるように、フレームバッファから）グラフィックス、テキスト、及び他のデータを転送するように構成された、任意のタイプ若しくは形態のデバイスを、一般に表す。

図６に示すように、例示的なコンピューティングシステム６１０はまた、入力インターフェース６３０を介して通信基盤６１２に連結される少なくとも１つの入力デバイス６２８を含み得る。入力デバイス６２８は、コンピュータ又は人間のいずれかが生成した入力を、例示的なコンピューティングシステム６１０に提供することができる、任意のタイプ若しくは形態の入力デバイスを、一般に表す。入力デバイス６２８の例としては、非限定的に、キーボード、ポインティングデバイス、音声認識デバイス、又は他の任意の入力デバイスが挙げられる。

図６に示すように、例示的なコンピューティングシステム６１０はまた、記憶インターフェース６３４を介して通信基盤６１２に連結される、一次記憶デバイス６３２及びバックアップ記憶デバイス６３３を含み得る。記憶デバイス６３２及び６３３は、一般に、データ及び／又は他のコンピュータ可読命令を格納することができる、任意のタイプ若しくは形態の記憶デバイス又は媒体を表す。例えば、記憶デバイス６３２及び６３３は、磁気ディスクドライブ（例えば、いわゆるハードドライブ）、ソリッドステートドライブ、フロッピーディスクドライブ、磁気テープドライブ、光ディスクドライブ、フラッシュドライブなどであり得る。記憶インターフェース６３４は、一般に、記憶デバイス６３２及び６３３とコンピューティングシステム６１０の他の構成要素との間でデータを転送するための、任意のタイプ若しくは形態のインターフェース又はデバイスを表す。一実施例では、図１のデータベース１２０は、一次記憶デバイス６３２内に格納され得る。

特定の実施形態では、記憶デバイス６３２及び６３３は、コンピュータソフトウェア、データ、又は他のコンピュータ可読情報を格納するように構成された取外し可能な記憶ユニットから読み取る、及び／又はそれに書き込むように構成され得る。好適な取外し可能な記憶ユニットの例としては、非限定的に、フロッピーディスク、磁気テープ、光ディスク、フラッシュメモリデバイスなどが挙げられる。記憶デバイス６３２及び６３３はまた、コンピュータソフトウェア、データ、又は他のコンピュータ可読命令が、コンピューティングシステム６１０にロードされることを可能にする、他の同様の構造体又はデバイスを含み得る。例えば、記憶デバイス６３２及び６３３は、ソフトウェア、データ、又は他のコンピュータ可読情報を読み取るように、及びこれを書き込むように構成され得る。記憶デバイス６３２及び６３３はまた、コンピューティングシステム６１０の一部であってもよく、又は他のインターフェースシステムを介してアクセスされる別個のデバイスであってもよい。

他の多くのデバイス又はサブシステムが、コンピューティングシステム６１０に接続され得る。反対に、図６に示す構成要素及びデバイスの全てが、本明細書に記載及び／又は図示される実施形態を実践するために存在する必要があるわけではない。上記で言及したデバイス及びサブシステムはまた、図６に示されるのとは異なる方法で相互接続され得る。コンピューティングシステム６１０はまた、任意の数のソフトウェア、ファームウェア、及び／又はハードウェアの構成を用い得る。例えば、本明細書で開示する例示的な実施形態の１つ以上は、コンピュータ可読媒体上で、コンピュータプログラム（コンピュータソフトウェア、ソフトウェアアプリケーション、コンピュータ可読命令、又はコンピュータ制御論理とも称される）としてコード化されてもよい。本明細書で使用するとき、「コンピュータ可読媒体」という句は一般に、コンピュータ可読命令を記憶又は保有することができる、任意の形態のデバイス、キャリア、又は媒体を指す。コンピュータ可読媒体の例としては、非限定的に、搬送波などの伝送型媒体、並びに磁気記憶媒体（例えば、ハードディスクドライブ、テープドライブ、及びフロッピーディスク）、光学記憶媒体（例えば、コンパクトディスク（ＣＤ）、デジタルビデオディスク（ＤＶＤ）、及びブルーレイ（ＢＬＵ−ＲＡＹ（登録商標））ディスク）、電子記憶媒体（例えば、ソリッドステートドライブ及びフラッシュメディア）、及び他の分散システムなどの非一時的媒体が挙げられる。

コンピュータプログラムを包含するコンピュータ可読媒体は、コンピューティングシステム６１０にロードされ得る。コンピュータ可読媒体に格納されたコンピュータプログラムの全て又は一部は、次に、システムメモリ６１６に、及び／又は記憶デバイス６３２及び６３３の様々な部分に格納され得る。プロセッサ６１４によって実行されると、コンピューティングシステム６１０にロードされたコンピュータプログラムは、プロセッサ６１４に、本明細書に記載及び／又は図示される例示的な実施形態のうち１つ以上の機能を実施させ、及び／又はそれらを実施するための手段となり得る。追加的に又は代替案として、本明細書に記載及び／又は図示される例示的な実施形態の１つ以上は、ファームウェア及び／又はハードウェアに実装されてもよい。例えば、コンピューティングシステム６１０は、本明細書に開示される例示的な実施形態のうちの１つ以上を実装するように適合される、特定用途向け集積回路（ＡＳＩＣ）として構成されてもよい。

図７は、クライアントシステム７１０、７２０、及び７３０、並びにサーバ７４０及び７４５がネットワーク７５０に連結され得る、例示的なネットワークアーキテクチャ７００のブロック図である。上記に詳述したように、ネットワークアーキテクチャ７００の全て又は一部は、単独又は他の要素との組み合わせのいずれかで、本明細書に開示されるステップのうちの１つ以上（図３に示されるステップのうちの１つ以上など）を実施し得るが、及び／又はそれを実施するための手段となり得る。ネットワークアーキテクチャ７００の全て又は一部はまた、本開示に記載される他のステップ及び特徴を実施するのに使用され得るか、及び／又はそれを実施するための手段となり得る。

クライアントシステム７１０、７２０、及び７３０は、一般に、図６の例示的なコンピューティングシステム６１０など、任意のタイプ若しくは形態のコンピューティングデバイス又はシステムを表す。同様に、サーバ７４０及び７４５は、様々なデータベースサービスを提供し、及び／又は特定のソフトウェアアプリケーションを実行するように構成された、アプリケーションサーバ又はデータベースサーバなどのコンピューティングデバイス又はシステムを、一般に表す。ネットワーク７５０は、例えばイントラネット、ＷＡＮ、ＬＡＮ、ＰＡＮ、又はインターネットを含む、任意の電気通信又はコンピュータネットワークを、一般に表す。一実施例では、クライアントシステム７１０、７２０、及び／若しくは７３０、並びに／又はサーバ７４０及び／若しくは７４５は、図１からのシステム１００の全て、又は一部を含み得る。

図７に示すように、１つ以上の記憶デバイス７６０（１）〜（Ｎ）はサーバ７４０に直接取り付けられてもよい。同様に、１つ以上の記憶デバイス７７０（１）〜（Ｎ）は、サーバ７４５に直接取り付けられ得る。記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）は、データ及び／又は他のコンピュータ可読命令を格納することができる、任意のタイプ若しくは形態の記憶デバイス又は媒体を、一般に表す。特定の実施形態では、記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）は、ネットワークファイルシステム（ＮＦＳ）、サーバメッセージブロック（ＳＭＢ）、又は共通インターネットファイルシステム（ＣＩＦＳ）などの様々なプロトコルを使用して、サーバ７４０及び７４５と通信するように構成されたネットワーク接続ストレージ（ＮＡＳ）デバイスを表し得る。

サーバ７４０及び７４５はまた、ストレージエリアネットワーク（ＳＡＮ）ファブリック７８０に接続され得る。ＳＡＮファブリック７８０は、一般に、複数の記憶デバイス間の通信を容易にすることができる、任意のタイプ若しくは形態のコンピュータネットワーク又はアーキテクチャを表す。ＳＡＮファブリック７８０は、サーバ７４０及び７４５と、複数の記憶デバイス７９０（１）〜（Ｎ）及び／又はインテリジェント記憶アレイ７９５との間の通信を容易にし得る。ＳＡＮファブリック７８０はまた、記憶デバイス７９０（１）〜（Ｎ）及びインテリジェント記憶アレイ７９５が、クライアントシステム７１０、７２０、及び７３０にローカルで取り付けられたデバイスとして現れるような方式で、ネットワーク７５０並びにサーバ７４０及び７４５を介して、クライアントシステム７１０、７２０、及び７３０と、記憶デバイス７９０（１）〜（Ｎ）及び／又はインテリジェント記憶アレイ７９５との間の通信を容易にし得る。記憶デバイス７６０（１）〜（Ｎ）及び記憶デバイス７７０（１）〜（Ｎ）と同様に、記憶デバイス７９０（１）〜（Ｎ）及びインテリジェント記憶アレイ７９５は、データ及び／又は他のコンピュータ可読命令を格納することができる任意のタイプ若しくは形態の記憶デバイス又は媒体を、一般に表す。

特定の実施形態では、また図６の例示的なコンピューティングシステム６１０を参照すると、図６の通信インターフェース６２２などの通信インターフェースは、それぞれのクライアントシステム７１０、７２０、及び７３０とネットワーク７５０との間の接続を提供するために使用され得る。クライアントシステム７１０、７２０、及び７３０は、例えば、ウェブブラウザ又は他のクライアントソフトウェアを使用して、サーバ７４０又は７４５上の情報にアクセスすることが可能であり得る。かかるソフトウェアは、クライアントシステム７１０、７２０、及び７３０が、サーバ７４０、サーバ７４５、記憶デバイス７６０（１）〜（Ｎ）、記憶デバイス７７０（１）〜（Ｎ）、記憶デバイス７９０（１）〜（Ｎ）、又はインテリジェント記憶アレイ７９５によってホストされるデータにアクセスすることを可能にし得る。図７は、データを交換するために（インターネットなどの）ネットワークを使用することを示しているが、本明細書に記載及び／又は図示される実施形態は、インターネット又は任意の特定のネットワークベースの環境に限定されない。

少なくとも１つの実施形態では、本明細書に開示される例示的な実施形態のうち１つ以上の全て又は一部は、コンピュータプログラムとしてコード化され、サーバ７４０、サーバ７４５、記憶デバイス７６０（１）〜（Ｎ）、記憶デバイス７７０（１）〜（Ｎ）、記憶デバイス７９０（１）〜（Ｎ）、インテリジェント記憶アレイ７９５、又はこれらの任意の組み合わせ上にロードされ、これらによって実行され得る。本明細書に開示される例示的な実施形態のうち１つ以上の全て又は一部はまた、コンピュータプログラムとしてコード化され、サーバ７４０に格納され、サーバ７４５によって作動し、ネットワーク７５０上でクライアントシステム７１０、７２０、及び７３０に配信されてもよい。

上で詳述されるように、コンピューティングシステム６１０、及び／又はネットワークアーキテクチャ７００の１つ以上の構成要素は、単独で、又は他の要素との組み合わせのいずれかで、潜在的なランサムウェアを検出することに応答してファイルバックアップを変更するための例示的な方法の１つ以上のステップを行ってもよく、及び／又はそれを行うための手段であってもよい。

前述の開示は、特定のブロック図、フローチャート、及び実施例を使用して様々な実施形態を記載しているが、本明細書に記載及び／又は図示されるそれぞれのブロック図の構成要素、フローチャートのステップ、動作、及び／又は構成要素は、個別にかつ／又は集合的に、広範なハードウェア、ソフトウェア、又はファームウェア（若しくはそれらの任意の組み合わせ）の構成を使用して実現されてもよい。それに加えて、同じ機能性を達成するように他の多くのアーキテクチャを実現することができるので、他の構成要素内に包含される構成要素のあらゆる開示は、本質的に例示と見なされるべきである。

一部の実施例では、図１の例示的なシステム１００の全て又は一部は、クラウドコンピューティング環境又はネットワークベースの環境の一部を表してもよい。クラウドコンピューティング環境は、インターネットを介して、様々なサービス及びアプリケーションを提供してもよい。これらのクラウドベースのサービス（例えば、サービスとしてのソフトウェア、サービスとしてのプラットフォーム、サービスとしての基盤など）は、ウェブブラウザ又は他のリモートインターフェースを通してアクセス可能であってもよい。本明細書に記載する様々な機能は、リモートデスクトップ環境又は他の任意のクラウドベースのコンピューティング環境を通して提供されてもよい。

様々な実施形態では、図１の例示的なシステム１００の全て又は一部は、クラウドベースのコンピューティング環境内におけるマルチテナンシーを容易にしてもよい。換言すれば、本明細書に記載するソフトウェアモジュールは、本明細書に記載する機能の１つ以上に対するマルチテナンシーを容易にするように、コンピューティングシステム（例えば、サーバ）を構成してもよい。例えば、本明細書に記載するソフトウェアモジュールの１つ以上は、２つ以上のクライアント（例えば、顧客）がサーバ上で作動しているアプリケーションを共有するのを可能にするように、サーバをプログラムしてもよい。このようにプログラムされたサーバは、複数の顧客（即ち、テナント）の間で、アプリケーション、オペレーティングシステム、処理システム、及び／又は記憶システムを共有してもよい。本明細書に記載するモジュールの１つ以上はまた、ある顧客が別の顧客のデータ及び／又は設定情報にアクセスできないように、顧客ごとにマルチテナントアプリケーションのデータ及び／又は設定情報を分割してもよい。

様々な実施形態によれば、図１の例示的なシステム１００の全て又は一部は仮想環境内で実現されてもよい。例えば、本明細書に記載するモジュール及び／又はデータは、仮想機械内で常駐及び／又は実行してもよい。本明細書で使用するとき、「仮想機械」という句は、一般に、仮想機械マネージャ（例えば、ハイパーバイザ）によってコンピューティングハードウェアから抽出される、任意のオペレーティングシステム環境を指す。それに加えて、又は別の方法として、本明細書に記載するモジュール及び／又はデータは、仮想化層内で常駐及び／又は実行してもよい。本明細書で使用するとき、「仮想化層」という句は、一般に、オペレーティングシステム環境にオーバーレイする、並びに／あるいはそこから抽出される、任意のデータ層及び／又はアプリケーション層を指す。仮想化層は、基礎となる基本オペレーティングシステムの一部であるかのように仮想化層を提示する、ソフトウェア仮想化ソリューション（例えば、ファイルシステムフィルタ）によって管理されてもよい。例えば、ソフトウェア仮想化ソリューションは、最初に基本ファイルシステム及び／又はレジストリ内の場所に方向付けられる呼び出しを、仮想化層内の場所にリダイレクトしてもよい。

一部の実施例では、図１の例示的なシステム１００の全て又は一部は、モバイルコンピューティング環境の一部を表してもよい。モバイルコンピューティング環境は、携帯電話、タブレットコンピュータ、電子ブックリーダー、携帯情報端末、ウェアラブルコンピューティングデバイス（例えば、ヘッドマウントディスプレイを備えたコンピューティングデバイス、スマートウォッチなど）などを含む、広範なモバイルコンピューティングデバイスによって実現されてもよい。一部の実施例において、モバイルコンピューティング環境は、例えば、バッテリ電力への依存、任意の所与の時間での１つのみのフォアグラウンドアプリケーションの提示、リモート管理特性、タッチスクリーン特性、位置及び移動データ（例えば、グローバルポジショニングシステム、ジャイロスコープ、加速度計などによって提供される）、システムレベルの構成への修正を制限する、及び／又は第３者のソフトウェアが他のアプリケーションの挙動を検査する能力を限定する制限されたプラットフォーム、アプリケーションのインストールを（例えば、認可されたアプリケーションストアからのみ生じるように）制限する制御などを含む、１つ以上の個別の特性を有することができる。本明細書で説明される様々な機能は、モバイルコンピューティング環境に対して提供され得る、及び／又はモバイルコンピューティング環境と相互作用し得る。

それに加えて、図１の例示的なシステム１００の全て又は一部は、情報管理のための１つ以上のシステムの部分を表してもよく、それと相互作用してもよく、それによって生成されるデータを消費してもよく、かつ／又はそれによって消費されるデータを生成してもよい。本明細書で使用するとき、「情報管理」という句は、データの保護、組織化、及び／又は記憶を指し得る。情報管理のためのシステムの例としては、非限定的に、記憶システム、バックアップシステム、アーカイブシステム、複製システム、高可用性システム、データ検索システム、仮想化システムなどを挙げることができる。

一部の実施形態では、図１の例示的なシステム１００の全て又は一部は、情報セキュリティのための１つ以上のシステムの部分を表してもよく、それによって保護されるデータを生成してもよく、かつ／又はそれと通信してもよい。本明細書で使用するとき、「情報セキュリティ」という句は、保護されたデータへのアクセスの制御を指し得る。情報セキュリティのためのシステムの例としては、非限定的に、管理されたセキュリティサービスを提供するシステム、データ損失防止システム、本人認証システム、アクセス制御システム、暗号化システム、ポリシー遵守システム、侵入検出及び防止システム、電子証拠開示システムなどを挙げることができる。

一部の実施例によれば、図１の例示的なシステム１００の全て又は一部は、エンドポイントセキュリティのための１つ以上のシステムの部分を表してもよく、それと通信してもよく、かつ／又はそれから保護を受けてもよい。本明細書で使用するとき、「エンドポイントセキュリティ」という句は、権限がない及び／又は違法な使用、アクセス、並びに／あるいは制御からの、エンドポイントシステムの保護を指し得る。エンドポイント保護のためのシステムの例としては、非限定的に、アンチマルウェアシステム、ユーザー認証システム、暗号化システム、プライバシーシステム、スパムフィルタリングサービスなどを挙げることができる。

本明細書に記載及び／又は図示されるプロセスパラメータ及びステップの順序は、単なる例として与えられるものであり、所望に応じて変更することができる。例えば、本明細書に図示及び／又は記載されるステップは特定の順序で図示又は考察されることがあるが、これらのステップは、必ずしも図示又は考察される順序で実施される必要はない。本明細書に記載及び／又は図示される様々な例示的な方法はまた、本明細書に記載若しくは図示されるステップの１つ以上を省略するか、又は開示されるものに加えて追加のステップを含んでもよい。

様々な実施形態を、完全に機能的なコンピューティングシステムの文脈で本明細書に記載及び／又は図示してきたが、これらの例示的な実施形態の１つ以上は、実際に配布を実施するのに使用されるコンピュータ可読媒体の特定のタイプにかかわらず、様々な形態のプログラム製品として配布されてもよい。本明細書に開示される実施形態はまた、特定のタスクを実施するソフトウェアモジュールを使用して実現されてもよい。これらのソフトウェアモジュールは、コンピュータ可読記憶媒体又はコンピューティングシステムに格納されてもよい、スクリプト、バッチ、若しくは他の実行可能ファイルを含んでもよい。一部の実施形態では、これらのソフトウェアモジュールは、本明細書に開示される例示的な実施形態の１つ以上を実施するようにコンピューティングシステムを構成してもよい。

それに加えて、本明細書に記載するモジュールの１つ以上は、データ、物理的デバイス、及び／又は物理的デバイスの表現を、１つの形態から別の形態へと変換してもよい。例えば、本明細書に記載のモジュールのうちの１つ以上は、変換対象のバックアップポリシーを受信し、そのバックアップポリシーを変換し、変換結果を記憶デバイス又は出力デバイスに出力し、変換結果を使用してファイルのバックアップコピーを管理し、変換結果をサーバ又はデータベースに格納し得る。それに加えて、又は別の方法として、本明細書に列挙されるモジュールの１つ以上は、コンピューティングデバイス上で実行し、コンピューティングデバイスにデータを格納し、並びに／あるいは別の方法でコンピューティングデバイスと相互作用することによって、プロセッサ、揮発性メモリ、不揮発性メモリ、及び／又は物理的コンピューティングデバイスの他の任意の部分を、１つの形態から別の形態へと変換してもよい。

上述の記載は、本明細書に開示される例示的な実施形態の様々な態様を他の当業者が最良に利用するのを可能にするために提供されてきた。この例示的な記載は、網羅的であることを意図するものではなく、又は開示される任意の正確な形態に限定することを意図するものではない。本開示の趣旨及び範囲から逸脱することなく、多くの修正及び変形が可能である。本明細書に開示される実施形態は、あらゆる点で例示的であり、限定的ではないものと見なされるべきである。本開示の範囲を決定する際に、添付の特許請求の範囲及びそれらの等価物を参照するべきである。

別途記載のない限り、「〜に接続される」及び「〜に連結される」という用語（並びにそれらの派生語）は、本明細書及び特許請求の範囲で使用するとき、直接的接続及び間接的接続（即ち、他の要素若しくは構成要素を介する）の両方を許容するものとして解釈されるものである。それに加えて、「ａ」又は「ａｎ」という用語は、本明細書及び特許請求の範囲で使用するとき、「〜のうち少なくとも１つ」を意味するものとして解釈されるものである。最後に、簡潔にするため、「含む」及び「有する」という用語（並びにそれらの派生語）は、本明細書及び特許請求の範囲で使用するとき、「備える」という単語と互換性があり、同じ意味を有する。

Claims (20)

1. 潜在的なランサムウェアを検出することに応答してファイルバックアップを変更するためのコンピュータ実施方法であって、前記方法の少なくとも一部が、少なくとも１つのプロセッサを備えるコンピューティングデバイスによって行われ、前記方法が、
   ファイルバックアッププロセス中に、前記コンピューティングデバイス上のランサムウェアの潜在的な徴候である異常を検出することと、
   ランサムウェアの潜在的な徴候である前記異常を検出することに応答して、他のバックアップコピーとは別の場所にバックアップコピーを格納することと、
   前記異常が前記コンピューティングデバイス上のランサムウェアの徴候であることを確認することと、
   前記異常が前記コンピューティングデバイス上のランサムウェアの徴候であることを確認することに応答してバックアップポリシーを調節することと、
   前記調節されたバックアップポリシーに基づいて前記バックアップコピーを管理することと、を含む、方法。
2. 前記コンピューティングデバイス上のランサムウェアの潜在的な徴候である前記異常を検出することが、
   前記ファイルバックアッププロセスにおいて少なくとも１つのファイルの内容が異常であることを判別することと、
   前記コンピューティングデバイス上で異常なファイル変更プロセスを検出することと、のうちの少なくとも１つを含む、請求項１に記載の方法。
3. 前記ファイルの内容が異常であることを判別することが、
   前記ファイルの内容が前記ファイルのタイプと一致しないことを判別することと、
   前記ファイルのヘッダーが前記ファイルのタイプと一致しないことを判別することと、
   前記ファイルのエントロピーが予期したよりも高いことを判別することと、のうちの少なくとも１つを含む、請求項２に記載の方法。
4. 前記異常なファイル変更プロセスを検出することが、
   前記ファイル変更プロセスによるリソースの使用量が既定の閾値を超えていることを判別することと、
   前記ファイル変更プロセスによってアクセスされるファイルの数が異常であることを判別することと、のうちの少なくとも１つを含む、請求項２に記載の方法。
5. 前記バックアップコピーを前記別の場所に格納することが、前記バックアップコピーが前記他のバックアップコピー内の既存のバックアップコピーを置換することを阻止することを含む、請求項１に記載の方法。
6. 前記異常が前記コンピューティングデバイス上のランサムウェアの徴候であることを確認することが、
   前記コンピューティングデバイス上のランサムウェアを識別することと、
   前記コンピューティングデバイスにインストールされたアンチウイルスソフトウェアからランサムウェアの確認を受信することと、
   前記コンピューティングデバイスのユーザーから前記ランサムウェアの確認を受信することと、
   前記コンピューティングデバイスに近接する別のコンピューティングデバイスでランサムウェア攻撃を検出することと、のうちの少なくとも１つを含む、請求項１に記載の方法。
7. 前記コンピューティングデバイスの前記近接が、
   前記コンピューティングデバイスに対する物理的な近接と、
   前記コンピューティングデバイスと前記他のコンピューティングデバイスとの論理グループと、のうちの少なくとも１つを含む、請求項６に記載の方法。
8. 前記バックアップポリシーを調節することが、
   前記ファイルバックアッププロセスにおいて少なくとも１つのファイルを検疫することと、
   前記ファイルバックアッププロセスを終了することと、
   前記ファイルバックアッププロセスの頻度を調節することと、
   保持するバックアップコピーの数を調節することと、
   バックアップするファイルのリストを調節することと、のうちの少なくとも１つを含む、請求項１に記載の方法。
9. 前記調節されたバックアップポリシーに基づいて前記バックアップコピーを管理することが、
   前記バックアップコピーを廃棄することと、
   安全なバックアップコピーを保持することと、
   前記バックアップコピーを前記安全なバックアップコピーに置換することと、を含む、請求項１に記載の方法。
10. 前記異常が前記コンピューティングデバイス上のランサムウェアの徴候であることに反証することと、
    前記バックアップコピーを前記他のバックアップコピーとマージすることと、を更に含む、請求項１に記載の方法。
11. 潜在的なランサムウェアを検出することに応答してファイルバックアップを変更するためのシステムであって、
    ファイルバックアッププロセス中に、コンピューティングデバイス上のランサムウェアの潜在的な徴候である異常を検出する、メモリに格納された検出モジュールと、
    ランサムウェアの潜在的な徴候である前記異常を検出することに応答して、他のバックアップコピーとは別の場所にバックアップコピーを格納する、メモリに格納された記憶モジュールと、
    前記異常が前記コンピューティングデバイス上のランサムウェアの徴候であることを確認する、メモリに格納された確認モジュールと、
    前記異常が前記コンピューティングデバイス上のランサムウェアの徴候であることを確認することに応答してバックアップポリシーを調節する、メモリに格納された調節モジュールと、
    前記調節されたバックアップポリシーに基づいて前記バックアップコピーを管理する、メモリに格納された管理モジュールと、
    前記検出モジュール、前記記憶モジュール、前記確認モジュール、前記調節モジュール、及び前記管理モジュールを実行する少なくとも１つのプロセッサと、を含む、システム。
12. 前記検出モジュールが、
    前記ファイルバックアッププロセスにおいて少なくとも１つのファイルの内容が異常であることを判別することと、
    前記コンピューティングデバイス上で異常なファイル変更プロセスを検出することと、のうちの少なくとも１つによって、前記コンピューティングデバイス上のランサムウェアの潜在的な徴候である前記異常を検出する、請求項１１に記載のシステム。
13. 前記ファイルの内容が異常であることを判別することが、
    前記ファイルの内容が前記ファイルのタイプと一致しないことを判別することと、
    前記ファイルのヘッダーが前記ファイルのタイプと一致しないことを判別することと、
    前記ファイルのエントロピーが予期したよりも高いことを判別することと、のうちの少なくとも１つを含む、請求項１２に記載のシステム。
14. 前記異常なファイル変更プロセスを検出することが、
    前記ファイル変更プロセスによるリソースの使用量が既定の閾値を超えていることを判別することと、
    前記ファイル変更プロセスによってアクセスされるファイルの数が異常であることを判別することと、のうちの少なくとも１つを含む、請求項１２に記載のシステム。
15. 前記記憶モジュールが、前記バックアップコピーが前記他のバックアップコピー内の既存のバックアップコピーを置換することを阻止することによって、前記バックアップコピーを前記別の場所に格納する、請求項１１に記載のシステム。
16. 前記確認モジュールが、
    前記コンピューティングデバイス上のランサムウェアを識別することと、
    前記コンピューティングデバイスにインストールされたアンチウイルスソフトウェアからランサムウェアの確認を受信することと、
    前記コンピューティングデバイスのユーザーから前記ランサムウェアの確認を受信することと、
    前記コンピューティングデバイスに近接する別のコンピューティングデバイスでランサムウェア攻撃を検出することと、のうちの少なくとも１つによって、前記異常が前記コンピューティングデバイス上のランサムウェアの徴候であることを確認する、請求項１１に記載のシステム。
17. 前記コンピューティングデバイスの前記近接が、
    前記コンピューティングデバイスに対する物理的な近接と、
    前記コンピューティングデバイスと前記他のコンピューティングデバイスとの論理グループと、のうちの少なくとも１つを含む、請求項１６に記載のシステム。
18. 前記調節モジュールが、
    前記ファイルバックアッププロセスにおいて少なくとも１つのファイルを検疫することと、
    前記ファイルバックアッププロセスを終了することと、
    前記ファイルバックアッププロセスの頻度を調節することと、
    保持するバックアップコピーの数を調節することと、
    バックアップするファイルのリストを調節することと、のうちの少なくとも１つによって前記バックアップポリシーを調節する、請求項１１に記載のシステム。
19. 前記管理モジュールが、
    前記バックアップコピーを廃棄することと、
    安全なバックアップコピーを保持することと、
    前記バックアップコピーを前記安全なバックアップコピーに置換することと、によって、前記調節されたバックアップポリシーに基づいて前記バックアップコピーを管理する、請求項１１に記載のシステム。
20. 非一時的コンピュータ可読媒体であって、１つ以上のコンピュータ実行可能命令を含み、コンピューティングデバイスの少なくとも１つのプロセッサによって実行されると、前記コンピューティングデバイスに、
    ファイルバックアッププロセス中に、前記コンピューティングデバイス上のランサムウェアの潜在的な徴候である異常を検出することと、
    ランサムウェアの潜在的な徴候である前記異常を検出することに応答して、他のバックアップコピーとは別の場所にバックアップコピーを格納することと、
    前記異常が前記コンピューティングデバイス上のランサムウェアの徴候であることを確認することと、
    前記異常が前記コンピューティングデバイス上のランサムウェアの徴候であることを確認することに応答してバックアップポリシーを調節することと、
    前記調節されたバックアップポリシーに基づいて前記バックアップコピーを管理することと、を実行させる、非一時的コンピュータ可読媒体。
    

Images